Vulnerabilidades e relatórios

Esta página explica como interpretar resultados, realizar triagem e usar relatórios no XGuardian.

Resultados de scan

Após a conclusão de um scan, o XGuardian disponibiliza os resultados no portal.

Os resultados podem ser analisados por:

• aplicação;
• tipo de scan;
• severidade;
• tecnologia;
• componente;
• equipe;
• histórico;
• status de triagem;
• origem do achado, como scan manual, pipeline ou ingestão externa;
• exportações disponíveis.

A experiência mais recente também permite investigar achados pela Central de Riscos e Análise Assistida com IA, que consolida filtros, detalhes, postura por aplicação e ações de triagem em uma visão ASPM.

Como priorizar vulnerabilidades

A priorização deve combinar a severidade técnica com o contexto real da aplicação.

Critérios recomendados:

Em achados de SCA, o EPSS pode ser consultado pelo caminho Achados > Detalhes > Abrir relatório. Dentro do relatório, ele aparece associado à vulnerabilidade do componente quando houver dado disponível.

Estados e classificações

O XGuardian oferece recursos para apoiar a triagem e o acompanhamento das vulnerabilidades.

Falso positivo

Use a marcação de falso positivo quando a equipe validar tecnicamente que o achado não representa uma vulnerabilidade aplicável ao contexto da aplicação.

Boas práticas:

• valide antes de marcar;
• registre justificativa clara quando possível;
• evite usar falso positivo para esconder débito técnico;
• revise marcações antigas quando a aplicação mudar.

Falso positivo condicional

Falsos positivos condicionais ajudam a reduzir ruído em cenários recorrentes, aplicando regras automáticas para achados que seguem padrões conhecidos.

Esse recurso agrega valor quando há vulnerabilidades repetitivas, contexto conhecido e critérios consistentes de classificação.

Importante

A marcação de vulnerabilidade importante ajuda a destacar achados que precisam de acompanhamento especial.

Use quando uma vulnerabilidade exigir atenção por contexto de negócio, criticidade da aplicação, exposição, prazo regulatório ou decisão de risco.

Corrigido

A marcação de corrigido ajuda a acompanhar vulnerabilidades tratadas pela equipe.

O uso recomendado é:

1. corrigir o problema no código, dependência, configuração ou container;
2. executar novo scan quando aplicável;
3. validar se o achado deixou de aparecer ou se a condição foi mitigada;
4. registrar o estado como corrigido conforme o fluxo disponível.

Exemplos de decisão de triagem

Issue Jira criada

Quando a integração Jira estiver configurada para a organização, vulnerabilidades podem ser encaminhadas para o fluxo de trabalho do time por meio de issue.

Use essa ação quando:

• houver contexto suficiente para o time reproduzir e corrigir;
• a aplicação e o time responsável estiverem claros;
• a vulnerabilidade exigir rastreabilidade no backlog;
• a priorização já tiver sido acordada entre segurança e desenvolvimento.

Como criar a issue Jira

1. abra a vulnerabilidade pela Central de Riscos ou pelo relatório do scan;
2. confirme aplicação, time responsável, severidade, origem e evidências;
3. valide se o achado tem contexto suficiente para o time reproduzir ou corrigir;
4. selecione a ação de criação de issue Jira;
5. escolha o projeto Jira disponível para a organização;
6. escolha o tipo de issue, como bug, task ou equivalente configurado;
7. revise título, descrição, severidade, evidências e recomendação;
8. confirme a criação;
9. acompanhe o vínculo entre a issue Jira e o achado no XGuardian;
10. após correção, execute rescan quando aplicável e atualize o estado do achado.

Antes de criar:

Outros estados comuns

• Em análise: vulnerabilidade em revisão pela equipe de segurança;
• Confirmado: vulnerabilidade validada como real e aplicável;
• Aguardando correção: vulnerabilidade aprovada para tratamento, mas ainda não corrigida;
• Mitigado: risco reduzido temporariamente, mas ainda sujeito a revisão.

Recomendações assistidas

Quando disponível, o XGuardian pode oferecer apoio com sugestões de correção e explicações técnicas para vulnerabilidades.

Essas recomendações devem ser usadas como apoio à análise, não como substituto de revisão técnica, testes, code review ou validação em ambiente controlado.

Para achados investigados pela Central de Riscos, a Análise Assistida com IA pode ser acionada sob demanda para explicar descrição, impacto, causa provável e caminhos de correção.

Relatórios

O XGuardian permite visualizar resultados no portal e exportar relatórios para evidência, compartilhamento e governança.

Os relatórios modernos por tipo de scan foram redesenhados para facilitar a leitura de achados, evidências, recomendações, severidade, status, aging/SLA e apoio por Análise Assistida com IA quando disponível.

Formatos disponíveis podem incluir:

Catálogo de artefatos

Scans podem disponibilizar um catálogo de artefatos associados, como relatórios, exports, SBOM e arquivos técnicos.

Na experiência atual, esses artefatos podem ser abertos ou baixados sob demanda. Isso evita depender de arquivos estáticos previamente expostos e permite que o portal controle acesso, disponibilidade e vínculo com o scan.

Boas práticas para relatórios

• gere relatórios após scans relevantes;
• use PDF executivo para acompanhamento gerencial;
• use relatórios detalhados para times técnicos;
• use a Central de Riscos para navegação e triagem antes de exportar evidências;
• exporte CSV quando precisar consolidar dados;
• baixe artefatos sob demanda apenas quando houver necessidade operacional ou de auditoria;
• preserve evidências importantes para auditoria;
• não compartilhe relatórios com pessoas fora do escopo autorizado.

Como confirmar a correção

• aplique a correção técnica no código, infraestrutura ou imagem;
• valide a mudança com testes e revisão interna;
• execute rescan quando aplicável;
• confirme que o achado foi removido ou mitigado de forma consistente;
• gere evidências do resultado para auditoria.

Exemplos de evidência útil:

Ciclo recomendado de tratamento

Como interpretar:

• primeiro confirme se o achado se aplica ao contexto da aplicação;
• se não se aplica, documente como falso positivo ou decisão equivalente;
• se se aplica, registre a decisão, encaminhe correção quando necessário e valide;
• relatórios e artefatos fecham o ciclo para auditoria e acompanhamento.

Próximos passos